지난 며칠 동안 세상과 담을 쌓고 지내지 않았다면(그랬다면 곧장 여기로 오신 것은 좋은 선택입니다) 100명이 넘는 유명인의 사적인 사진이 대량으로 공개되었다는 소식을 분명 들으셨을 것입니다.
이번 개인정보 침해는 iCloud와 연결되어 있지만, 전적으로 iCloud의 책임인 것은 아닙니다. 이 사진들이 여러 경로에서 한동안 수집되어 왔다는 점이 분명해졌습니다. 이런 침해는 대개 중형으로 이어지고 이번에도 마찬가지일 것이 틀림없지만, 많은 사람이 iCloud에서 얼마나 많은 데이터가 유출되었는지 과소평가하고 있다고 생각합니다.
iCloud에 로그인
iCloud에는 어떤 데이터가 있을까요?
Reincubate는 사람들이 자신의 데이터에 접근하도록 돕는 일을 좋아합니다. 저희도 데이터를 잃어 본 적이 있기에 되찾는 일이 얼마나 큰 의미인지 잘 압니다. 최근 몇 주 동안 저희는 iCloud 데이터를 가져와 분석하는 API를 만들어 출시했습니다(귀사에 이런 서비스가 필요하다면 이야기를 나눠 보세요). 그래서 데이터를 보호하는 훌륭한 보안 체계는 물론, Apple ID와 비밀번호 조합만 알면 무엇을 할 수 있는지에 대해서도 잘 알고 있습니다.
자격 증명과 iCloud 기능이 있는 iPhone Backup Extractor만 있으면 (이제 모두가 잘 알듯이) iPad나 iPhone 사진을 추출할 수 있고, SMS 데이터, 연락처, 앱별 정보(WhatsApp 등)도 추출할 수 있습니다. 이 밖에도 백업에 저장되지 않는 다른 iCloud 기능, 예컨대 iPhone의 위치 추적이나 iCloud에 저장한 문서, 캘린더, 북마크 등의 파일 다운로드도 이용할 수 있습니다. 편리하죠!
휴대폰을 잃어버렸을 때 아기 사진, 비즈니스 연락처, 반려동물 영상을 지킬 수 있다는 점에서는 정말 훌륭합니다. 하지만 이 정보가 악의적인 제3자의 손에 들어가면 그만큼 훌륭하지만은 않습니다.
iPhone Backup Extractor의 iCloud 데이터 접근
데이터는 어떻게 유출되었을까요?
앞서 말했듯 이 데이터에 접근하려면 Apple ID/사용자 이름 조합이 반드시 필요합니다. 다른 방법은 없습니다. (물론 세계 최고 수준의 암호학자 팀이 새로운 수학으로 암호화의 선도적 표준을 깨뜨린다면 모르겠지만, 그런 팀이라면 더 좋은 일을 하고 있을 것입니다.) 대부분의 사람에게 다른 사용자의 Apple ID를 알아내는 것은 쉽지 않지만, 그것이 이메일 주소일 뿐이고 온라인에서의 활동에 따라 이메일을 숨기기 어려울 수 있다는 점을 기억하세요. 많은 사람이 서비스마다 다른 비밀번호를 사용하지만(그래야 합니다), 이메일 주소를 서비스마다 다르게 쓰는 경우는 드물어서, 한 서비스에서 쓰는 이메일 주소를 알아냈다면 다른 서비스에서도 맞을 것이라고 추정하는 것이 그리 큰 비약은 아닙니다.
그러면 남는 것은 추측하거나 재설정할 수 있는 비밀번호입니다. 비밀번호를 재설정하려면 이메일 계정에 접근하거나 설정해 둔 여러 보안 질문의 답을 알아야 하는데, 이 정보는 얻기 어려울 수 있습니다. 반면 추측하는 데는 계정 소유자에 대한 정보가 말 그대로 전혀 필요하지 않습니다! 그래서 보안에 진지한 회사라면 당연히 추측을 어렵게 만들어야 합니다. Apple 계정이 있다면 비밀번호가 사용 가능하다고 인정받기 위해 충족해야 했던 수많은 규칙이 기억나실 텐데, 이것이 공격자를 어렵게 만드는 첫 번째 기법입니다. 비밀번호를 123456 같은 것으로 설정하는 순진한 사용자나, 영원히 스스로 이루어지지 않는 changeme 덕분에 접근이 허용되는 일은 이제 없을 것입니다.
“좋아요, 비밀번호는 (어느 정도) 강력합니다. 그럼 이제 어떻게 되나요?”
문제의 두 번째 부분은 수없이 추측하는 것입니다. 이 경우에는 몇 가지 좋은 접근법이 있습니다. 하나는 수천 번의 해시 반복을 수행하거나 “느린” 알고리즘을 사용해 절차를 느리게 만드는 것입니다(이 글에서 더 자세히 다루고 있으니, 그런 것에 관심이 있다면 읽어 보세요). 이렇게 하면 초당 시도 횟수는 줄어들지만 더 많은 조치가 가능하며, 대부분의 경우 실제로 그렇게 하고 있습니다. 저희는 계정에 대한 무차별 대입 공격이 끝까지 완료될 수 없도록 여러 안전장치를 갖추고 있습니다.
여러 기법을 적용할 수 있지만(예를 들어 로그인 시도를 모니터링하고 의심스러운 활동이 발견되면 계정을 비활성화할 수 있습니다), 이번 경우의 문제는 추가 보호가 없는 로그인 API가 있었다는 것입니다. 공격자들은 나의 iPhone 찾기 API가 비밀번호 시도 횟수에 제한을 두지 않는다는 점을 알아냈고, 따라서 흔히 쓰이는 비밀번호 목록을 하나씩 시도해 그중 하나가 맞기를 바라기만 하면 되었습니다.
그게 전부입니다. 그만큼 쉬웠습니다.
하지만 이제는 아닙니다. 결함이 드러나자마자 Apple이 즉시 패치했습니다. Apple은 제3자가 사용자 데이터에 무단으로 접근하는 것을 막기 위해 여러 예방 조치를 하고 있지만, Apple의 iCloud든 다른 앱과 서비스든 데이터를 안전하게 지키는 일은 사용자 자신의 책임이기도 합니다.
